Cybercriminalité : les entreprises tremblent toujours mais sont avares de moyens

Publié le 05/10/2003 par Janice Dervaux

Sécurité, inaccessible et coûteuse étoile ! Tel pourrait être le leitmotiv des entreprises. En matière informatique, la situation est pareille : toutes les entreprises rêvent de sécurité, mais peu d’entre elles disposent d’un véritable plan global et encore moins d’un budget suffisant. Le 8 juillet 2003, PricewaterhouseCoopers publiait les résultats de son étude mondiale »Economic Crime…

Sécurité, inaccessible et coûteuse étoile ! Tel pourrait être le leitmotiv des entreprises. En matière informatique, la situation est pareille : toutes les entreprises rêvent de sécurité, mais peu d’entre elles disposent d’un véritable plan global et encore moins d’un budget suffisant.

Le 8 juillet 2003, PricewaterhouseCoopers publiait les résultats de son étude mondiale »Economic Crime Survey 2003 » tandis que Ernst & Young lui emboîtait le pas, le 14 juillet 2003, en faisant de même pour sa 6ème étude mondiale « Global Information Security Survey 2003« .

Selon l’étude menée par PWC, les entreprises sont principalement victimes de 6 types de fraudes : détournement de biens, allégations financières mensongères, corruption et subornation, blanchiment d’argent, cybercriminalité, espionnage industriel et, enfin, contrefaçon.

Le détournement de biens occupe actuellement la première place au palmarès de ces fraudes. Ceci s’explique par la visibilité de ce délit puisqu’il implique le vol d’objets tangibles dont la valeur est définie.

Pour ce qui est du futur, la plupart des entreprises identifient la cybercriminalité comme le second risque majeur auquel elles vont devoir faire face, la première place restant acquise au détournement de biens.

L’étude pointe néanmoins une certaine baisse quant à la crainte suscitée par la menace informatique. Ainsi, en 2001, 46 % des entreprises européennes faisaient de la cybercriminalité leur souci majeur. En 2003, elles ne sont plus que 37 % à penser de la sorte.

Cette diminution refléterait, selon PWC, deux tendances : tout d’abord, bon nombre d’activités qui, à l’époque étaient qualifiées de cybercriminalité, constituent, en réalité, des fraudes « traditionnelles » opérées via des moyens électroniques plutôt que des infractions désormais clairement définies comme relevant de la cybercriminalité (hacking, vol de données électroniques, sabotage et autres virus, …). Ensuite, bien que les effets de la cybercriminalité puisse être particulièrement néfastes pour les entreprises victimes, il semblerait que les pirates et autres cybercriminels choisissent avec soin leurs cibles et s’acharnent sur certains profils. Dès lors, les entreprises qui n’ont pas encore été visées pensent, sans doute à tort, qu’elles ne seront jamais visées découdre.

De façon assez paradoxale, si la criminalité informatique reste un souci majeur pour les entreprises européennes, l’étude menée par Ernst & Young pointe, quant à elle, la diminution des dépenses en matière de technologie, d’enseignement, de formation et d’infrastructures destinées à soutenir la sécurité des informations des entreprises.

Par ailleurs, selon Ernst & Young, plutôt que de se focaliser « sur les défauts de sécurité des informations qui attirent l’attention des médias, comme l’apparition de virus et les pirates informatiques, on devrait prêter davantage attention aux menaces moins évidentes et moins médiatisées, comme les employés mécontents, les anciens employés, les liens de réseau avec des partenaires commerciaux ayant des systèmes auxquels on ne peut se fier, le vol d’ordinateurs portables et les points d’accès sans fil peu sûrs, établis par les employés. Ces facteurs peuvent non seulement provoquer de graves dommages en matière de sécurité des informations, mais également nuire sérieusement à la réputation de l’entreprise« .

Au vu de ce dernier constat, la menace informatique ne se résume donc pas à la cybercriminalité au sens restreint où l’entendent certaines entreprises (hacking, virus et autres sabotages).

Cette crainte affichée des entreprises vis-à-vis de la criminalité informatique devrait attirer l’attention des décideurs européens et remettre au goût du jour l’adoption de la décision-cadre du Conseil relative aux attaques visant les systèmes d’informations (voir notre actualité« ). Les travaux européens en la matière n’ont, en effet, plus connu d’évolution depuis le 28 février 2003.